Egy fejlesztő munkahelyi gépére letöltött, állásinterjúhoz adott programozási feladat is része volt annak a több hónapos műveletnek, amely október 29-én a Binance kriptotárcáinak megcsapolásához vezetett. A tőzsde november 3-án ismertetett előzetes megállapításai szerint a támadók a fertőzött gép és egy belső AI-eszköz segítségével további mérnöki munkaállomásokat értek el. Az egyiken olyan jogosultságot találtak, amellyel később saját kódjukat futtathatták a tárcákat kiszolgáló környezetben. A Binance előzetes incidensjelentése · A CoinDesk beszámolója a Binance sajtótájékoztatójáról.
A Binance 6,34 milliárd dollárra tette az érintett digitális eszközök értékét. A támadók elérték a belső tranzakció-aláíró szolgáltatást, így a tőzsde szokásos kiutalási folyamatán kívül is kezdeményezhettek átutalásokat. Az eset egyik legfontosabb részlete, hogy a kiutalások felfüggesztése nem szüntetett meg minden jogosultságot: az egyik Ethereum-tárcánál külön, a blokkláncon is vissza kellett vonni a támadók által létrehozott felhatalmazást. A Binance időrendi beszámolója
Júniusban egy módosított telepítővel kezdődött a behatolás
A Binance szerint júniusban a tárcák infrastruktúráján dolgozó egyik mérnök egy AI-alapú programozási segédeszközt akart telepíteni, de módosított telepítőcsomagot töltött le. A biztonsági csapat észlelte a fertőzést, lecserélte az eszközt, és megváltoztatta az érintett hitelesítő adatokat. Addigra azonban a támadók már információt szereztek a mérnök feladatköréről és munkatársairól. A Binance előzetes megállapításai
Ez megmagyarázza, miért nem feltétlenül zárul le egy ilyen ügy a fertőzött gép cseréjével. Egy jelszó érvényteleníthető, de azt a tudást, hogy ki dolgozik a tárcákon, kivel áll kapcsolatban, és milyen szakmai megkeresést tarthat hihetőnek, a támadó később is felhasználhatja. A vizsgálatnál ezért nemcsak az számít, melyik kártevő futott a gépen, hanem az is, mit tudhatott meg az operátor a szervezetről.
Szeptemberben a támadók már állásinterjúra hívtak egy másik fejlesztőt
A következő ismert megkeresés egy valódi állásközvetítő platformon érkezett. Egy magát projektigazgatónak kiadó személy kapcsolatba lépett egy másik Binance-mérnökkel. Nem rögtön fájlt küldött: előbb felépített egy felvételi folyamatot, amelyben több, látszólag különböző ember erősítette meg a másik hitelességét.
A Binance tájékoztatójáról tudósító CoinDesk szerint a mérnök videóinterjún beszélt egy állítólagos HR-munkatárssal, akinek a közösségi profilján személyes fényképek is szerepeltek. Egy későbbi beszélgetésen már a kiszemelt munkáltató vezérigazgatójának kiadó személy vett részt. A programozási próbafeladat csak ezután érkezett. A mérnök a munkahelyi számítógépére töltötte le a kártevőt tartalmazó projektet. A CoinDesk beszámolója az interjúkról
Fejlesztők esetében ez különösen hihető kérés: egy kódtár letöltése, függőségek telepítése és egy mintaalkalmazás futtatása egy valódi szakmai felmérésnek is része lehet. A kockázat ugyanakkor túlmutat egy megtévesztő oldalon megadott jelszón. A futtatott projekt hozzáférhet a gépen elérhető fájlokhoz, aktív munkamenetekhez és belső erőforrásokhoz is. Hogy ezek közül az adott munkaállomásról pontosan mit szereztek meg, az előzetes beszámoló nem részletezi.
A belső AI-eszköz segítette a továbbjutást, de a pontos mechanizmus nem ismert
A Binance szerint október 20-án a támadók a hamis interjúval megfertőzött gépet és egy belső AI-eszközt felhasználva elérték két, kriptotárcákon dolgozó mérnök számítógépét. Az egyik gépen konténer telepítésére jogosító hozzáférést találtak. Október 29-én lopott hitelesítő adatokkal telepítettek egy konténert, és abban indították el a tárcák elleni műveletet végrehajtó szkriptet. A Binance által ismertetett támadási lánc
A júniusi fejlesztőieszköz-telepítő és az októberben felhasznált belső AI-eszköz két külön mozzanat. Az utóbbiról nem derült ki, hogy a támadók szoftverhibát használtak-e ki, jogos funkciót vettek-e igénybe lopott hozzáféréssel, vagy manipulálták-e a modellnek átadott utasításokat. A közölt eredmények ezért nem igazolják, hogy egy autonóm AI-rendszer önállóan hajtotta volna végre a támadást.
A biztonsági kérdés ettől még konkrét: mit érhet el egy belső AI-eszköz annak a felhasználónak a nevében, akinek a gépe támadói ellenőrzés alá került? Ha a szolgáltatás más munkaállomásokhoz, tárolt hitelesítő adatokhoz vagy éles telepítési folyamatokhoz kapcsolódik, a hozzá rendelt jogosultságokat ugyanúgy kell felülvizsgálni, mint bármely más éles szolgáltatásét.
Hogyan lehet érvényes egy aláírás, ha az átutalás jogosulatlan?
A Chainalysis független blokkláncelemzése az Ethereumon olyan érvényesen aláírt felhatalmazásokat azonosított, amelyek lehetővé tették, hogy egy Binance-forró tárca – vagyis online tranzakciókhoz használt tárca – a támadók által telepített kódot hajtsa végre. Más érintett tárcáknál az eszközök mozgatása a megfigyelhető tranzakciók alapján hagyományos aláírt átutalásnak látszott. Nem minden tárcánál ugyanaz a technikai folyamat zajlott. A Chainalysis blokkláncelemzése
A blokklánc ellenőrizheti, hogy egy aláírás kriptográfiailag érvényes-e. Azt nem tudja megállapítani, hogy a tőzsde illetékes munkatársa valóban jóváhagyta-e a mögötte álló üzleti döntést. Ha egy támadó rá tudja venni a megbízható belső aláíró szolgáltatást egy rosszindulatú művelet jóváhagyására, a hálózat szabályosan feldolgozhat egy olyan tranzakciót, amelyet a tőzsde soha nem akart engedélyezni.
A privát kulcsok védelme ezért csak az egyik feladat. Ugyanilyen fontos, ki kérhet aláírást, milyen művelethez, és mi ellenőrzi a kérés tartalmát az aláírás előtt. A jogosulatlan, de érvényesen aláírt tranzakció önmagában nem bizonyítja, hogy a támadó megszerezte a privát kulcs másolatát.
Miért nem volt elég leállítani a kiutalásokat?
Az Ethereum EIP-7702 mechanizmusa lehetővé teszi, hogy egy külső tulajdonú számla aláírt felhatalmazással egy másik címen található kódra bízza a végrehajtást. Ez legitim célokra is használható: több művelet összevonására, a tranzakciós díj másik fél általi átvállalására vagy finomabban korlátozott jogosultságok kialakítására. A Binance szerint a támadók a Binance14 forró tárcánál ezt használták rosszindulatú felhatalmazás létrehozására. Az eset önmagában nem igazol hibát az Ethereum protokolljában. Az EIP-7702 specifikációja · A Binance incidensjelentése
A két intézkedés közötti különbséget az eseménynapló teszi egyértelművé:
- Október 29., 23:56 UTC: véglegessé vált az utolsó megfigyelt jogosulatlan átutalás, 2961,9 ETH értékben. A tranzakciót már korábban elküldték a hálózatra, ahol függőben maradt. Ez tehát a véglegesítés, nem feltétlenül a támadói kezdeményezés időpontja.
- Október 30., 00:10 UTC: a Binance új, láncon végrehajtott felhatalmazással törölte a Binance14 tárcához rendelt EIP-7702-delegálást. A Binance részletes idővonala
Az ügyféloldali kiutalások felfüggesztése a tőzsde saját szolgáltatásán keresztüli pénzmozgást korlátozta. A már közzétett tranzakciók és a blokkláncon tovább élő engedélyek kezeléséhez külön válaszlépés kellett.
Az FBI Észak-Koreának tulajdonítja a lopást
Az FBI október 31-i riasztása szerint Észak-Korea felelős a Binance-től ellopott, több mint 6 milliárd dollár értékű kriptoeszközért. Az iroda a tevékenységet TraderTraitor néven azonosította. A nyomozásban az amerikai Secret Service és az adóhatóság bűnügyi nyomozó szerve, az IRS Criminal Investigation is részt vesz. Az FBI hivatalos riasztása
A hatóságok szerint az eltulajdonított eszközök egy részét már átváltották, főként etherre. Arra figyelmeztettek, hogy a további pénzmosáshoz decentralizált pénzügyi platformokat és azonnali kriptoátváltást kínáló szolgáltatásokat is igénybe vehetnek. Az FBI arra kérte a szolgáltatókat és az infrastruktúra üzemeltetőit, hogy blokkolják a riasztásban felsorolt, támadókhoz kötött címeket érintő tranzakciókat. Az FBI által közzétett címek és intézkedési kérés
A Chainalysis értékelését erősítette, hogy a Binance-től származó eszközök egy korábban Észak-Koreának tulajdonított lopás pénzeszközeivel keveredtek. Az elemzők a pénz mozgatásában automatizálásra utaló mintázatokat is megfigyeltek. Ez a pénzmosási szakaszra vonatkozó megállapítás; nem bizonyítja, hogy maga a behatolás is autonóm módon zajlott. Észak-Korea tagadta a felelősségét. A Chainalysis értékelése · A tagadásról szóló beszámoló
A hamis állásinterjú ismert módszer a fejlesztők célba vételére
Az FBI már 2024 szeptemberében figyelmeztetett arra, hogy észak-koreai szereplők szakmai kapcsolati hálókon kutatják fel kriptovalutákkal foglalkozó vállalatok munkatársait, majd személyre szabott állás- vagy befektetési ajánlattal keresik meg őket. A hatóság azt is kiemelte, hogy a technikailag képzett célpontok sem feltétlenül ismerik fel a hosszabb idő alatt, gondosan felépített megtévesztést. Az FBI 2024-es figyelmeztetése
Egy 2026 szeptemberében közzétett közös kiberbiztonsági jelentés a WaterPlum, más néven Contagious Interview tevékenységében is dokumentált hamis álláslehetőségeket, technikai interjúkat és fertőzött programozási feladatokat. Egyes esetekben a támadók állítólagos videókonferencia-hibára hivatkozva vették rá a jelentkezőt egy fájl futtatására. A párhuzam a toborzási módszer veszélyét mutatja; önmagában nem bizonyítja, hogy minden ilyen műveletet ugyanaz a csoport irányít. Az ausztrál kiberbiztonsági hatóság által közzétett közös figyelmeztetés
Mit jelent a 2,85 milliárd dollár és a 98 százalék?
A Binance három különböző dolgot mért: az incidens által érintett eszközállomány értékét, a feltartóztatott vagy befagyasztott eszközöket, illetve azt, hogy az érintett tokenekből mennyit pótolt a tőzsde. A mutatók nem cserélhetők fel egymással. A Binance pénzügyi helyzetjelentése
| A Binance által közölt adat | Mit jelent? |
|---|---|
| 6,34 milliárd dollár | Az incidensben érintett digitális eszközök becsült értéke. |
| Mintegy 2,85 milliárd dollár | A november 3-i közleményig befagyasztott vagy feltartóztatott eszközök becsült értéke. A befagyasztás korlátozhatja a további mozgatást, de nem jelenti automatikusan, hogy az eszközök már visszakerültek a tőzsdéhez. Az összeg az egyeztetések és az árfolyamváltozások miatt módosulhat. |
| 98% | A Binance szerint október 31-ig az érintett tokeneszközök ekkora részét pótolta. Ez az ügyfélfedezet helyreállításáról szól, nem a támadóktól visszaszerzett hányadról. |
A tőzsde vállalta, hogy maga viseli a pénzügyi következményeket. Azt közölte, hogy a veszteség fedezéséhez szükséges összeg több mint egészét elkülönítette, miközben a kevésbé likvid, nehezebben beszerezhető eszközök vásárlása még folyamatban volt. A fedezet elkülönítése, a megfelelő token megvásárlása és az ellopott eszköz visszaszerzése három külön esemény. A fennmaradó pénzügyi veszteség ezért nem állapítható meg pusztán a közzétett számok kivonásával.
Hol lehetett volna megszakítani a támadási láncot?
A toborzási helyzetben nem az volt a döntő, hogy valódi volt-e az állásplatform vagy meggyőzőnek tűnt-e az interjúztató. A vállalati kockázat akkor keletkezett, amikor az ellenőrizetlen projekt olyan gépen futott, amelynek élő munkamenetei és belső kapcsolatai voltak. Az ismeretlen kód vállalati hitelesítő adatoktól és éles hálózati eléréstől elkülönített futtatása akkor is korlátozhatja a következményeket, ha a fejlesztő jóhiszeműen valódi próbafeladatnak hiszi a projektet.
A következő ellenőrzési pont a konténer telepítése és az aláírás kérése között van. Attól, hogy egy mérnök jogosult egy munkaterhelést elindítani, annak még nem kellene ellenőrzés nélkül hozzáférnie pénzmozgást engedélyező szolgáltatáshoz. A szűkre szabott telepítési jogosultság, a szokatlan telepítések megfigyelése és a tárcaművelet külön jóváhagyása eltérő pontokon állíthatja meg ugyanazt a támadást.
Ugyanez érvényes az AI-eszközökre. A vizsgálatnak nemcsak azt kell lefednie, mire ad választ a modell, hanem azt is, mit tud elérni vagy végrehajtatni vele egy kompromittált felhasználó. A helyreállítási gyakorlatnak pedig addig kell követnie a jogosultságokat, ameddig azok ténylegesen érvényesek: a fertőzött gép elkülönítésétől és a hitelesítő adatok cseréjétől egészen a blokkláncon kiadott engedélyek visszavonásáig és az eszközök befagyasztásának összehangolásáig.
Mely kérdésekre kell még választ adnia a független vizsgálatnak?
A Binance közlése szerint újjáépítette vagy lecserélte az érintett rendszereket, szigorította az eszközök biztonsági ellenőrzését, és kibővítette az AI-alapú viselkedéselemzést. A vállalat független kiberbiztonsági felülvizsgálatot is kezdeményezett. Ezek a tőzsde által bejelentett intézkedések; a független vizsgálat eredménye nem része a november 3-i előzetes jelentésnek. A Binance helyreállítási intézkedései
A legfontosabb nyitott kérdés az, hogyan lett egy fejlesztő munkaállomásának kompromittálásából érvényesen aláírt tárcaművelet. Ehhez tisztázni kell a belső AI-eszköz pontos szerepét, a konténertelepítési jogosultság határait, valamint azt, milyen ellenőrzéseken jutott át a rosszindulatú aláírási kérés. Ezekre a kapcsolódási pontokra kell magyarázatot adni ahhoz, hogy egy következő, hasonlóan hihető állásajánlatból ne lehessen ismét pénzmozgást kezdeményezni.
Eredeti cím: Binance Reveals Fake Job Interview and Internal AI Tool Enabled Record $6.3 Billion Crypto Heist
